C/C++ Forum :: EXE base immer 0x400000 ?

Unregistrierter

KN4CK3R, Toolhelpshot geht ja nicht, weil CREATE_SUSPENDED und noch nicht resumed. Die CreateToolhelp... Funktion gibt 0 zurück.

Bassmaster, Gast13377777 ihr meint also die Info aus dem .exe header auslesen. Der ist doch statisch und dort steht soweit ich weiß nur die gewünschte bzw. voraussichtliche Basisadresse, der Loader könnte es noch versetzen.

konkret2, ich weiß nichts damit anzufangen...

Ah alles klar, das erklärts...
http://msdn.microsoft.com/en-us/library/w368ysh2.aspx
Ist default für .exen. Wird also wohl so sein bei dieser, die hat nämlich keine reloc. table.
Also kann ich mich bei dieser .exe wohl darauf verlassen.

Unregistrierter

Wieso patchst du nicht einfach das .exe file?

Unregistrierter

Weils eine Option sein soll.

-lowbyte- Mitglied 04:07:37 04.02.2012 Titel:

Mann kann die BaseAddress mit GetModulHandle() bekommen.

C/C++ Code:
1 2 3 4 5 6 7 8 9 10 11	1 2 3 4 5 6 7 8 9 10 11	#include <windows.h> int main() { HMODULE hm; hm = GetModuleHandle(NULL); return 0; }

C/C++ Code:
1 2 3 4 5 6 7 8 9 10 11	#include <windows.h> int main() { HMODULE hm; hm = GetModuleHandle(NULL); return 0; }

C/C++ Code:
1 2 3 4 5 6 7 8 9 10 11	#include <windows.h> int main() { HMODULE hm; hm = GetModuleHandle(NULL); return 0; }

http://msdn.microsoft.com/en-us/library/windows/desktop/ms683199%28v=vs.85%29.aspx

C0de4Fun Mitglied 08:52:06 04.02.2012 Titel:

Desweitern zeigt doch der EIP des erzeugten Threads auf den Entrypoint wenn man nen Prozess mit diesem Flag started oder ned`?

Unregistrierter

ASLR ist bei jedem Systemstart für jeden Prozess gleich.
Hol dir die ImageBase von deinem Prozess, dann hast du auch die des anderen.

Unregistrierter

-lowbyte-, aber ich will doch nicht die Base von meinem Prozess, sondern von einem anderen, der noch im SUSPENDED-State ist...

C0de4Fun, aber was tun mit dem Entrypoint?

Thereaver, das scheint so nicht zu stimmen. Dieses eine Programm ist scheinbar immer an 0x00400000, während ich bei anderen Programmen komplett zufällige .exe-Basen entdeckte (Win7 64bit).

Ist ASLR ohne reloc. Table der .exe überhaupt möglich?

Unregistrierter

konkret1 schrieb:

Ist ASLR ohne reloc. Table der .exe überhaupt möglich?

ist es nicht.

Unregistrierter

sorry ich habe wohl Müll erzählt, aber auf die kernel32 trifft es zu. Die ist in jedem Prozess trotz ASLR gleich.

Unregistrierter

die einzige Möglichkeit die ich persönlich noch sehe ist, dass du eine DLL in den suspended Prozess injectest und dir dadurch die base holst oder gleich patched.